包含HTTP协议超链接的SOAP报文是否安全？

核心结论：HTTP下的SOAP报文完全不安全 #

HTTP是明文传输协议，你的SOAP请求（包括示例里的整个Envelope、Body内容）会以纯文本形式在网络中传输。任何能接触到传输链路的主体——比如中间路由器、公共WiFi的监听者、恶意代理——都能轻松捕获、读取甚至篡改你的请求内容。如果是涉及敏感数据的场景，这种传输方式等于直接把数据暴露给潜在攻击者。

你没搞错核心安全逻辑，只是公开测试示例有局限性 #

你提到的「HTTPS加密+WS-Security」是SOAP服务生产环境安全的标准配置，这个思路完全正确：

• HTTPS负责传输层加密：把整个HTTP请求（包括SOAP报文）加密，确保传输过程中数据不会被窃听或篡改；
• WS-Security负责应用层安全：可以对SOAP报文本身做数字签名（防篡改）、加密敏感字段、添加身份认证令牌等，就算传输层加密出现极端漏洞，报文自身仍有安全保障。

而你找到的公开测试服务用HTTP，只是为了降低测试门槛——让开发者不用折腾HTTPS证书配置，就能快速验证SOAP报文格式是否合法，完全不考虑生产环境的安全性需求。

生产环境的正确做法 #

如果你要在自己的应用中落地SOAP服务：

1. 立刻把通信协议换成HTTPS，绝对不要使用示例中的HTTP链接；
2. 根据业务敏感程度配置WS-Security：比如对用户隐私、交易数据等字段单独加密，给报文添加数字签名，配置证书或用户名令牌认证；
3. 测试阶段尽量选择支持HTTPS的公开SOAP服务，避免养成明文传输的不良习惯。

参考的SOAP请求示例 #

<?xml version="1.0" encoding="utf-8"?>
<soap:Envelope xmlns:soap="http://schemas.xmlsoap.org/soap/envelope/">
  <soap:Body>
    <NumberToWords xmlns="http://www.dataaccess.com/webservicesserver/">
      <ubiNum>this_is_a_placeholder_for_an_integer_number</ubiNum>
    </NumberToWords>
  </soap:Body>
</soap:Envelope>

内容的提问来源于stack exchange，提问作者cyb3r-r4bb1t